AI literacy: l'obbligo dell'art. 4 dell'AI Act

L'AI literacy è l'obbligo di alfabetizzazione in materia di AI previsto dall'art. 4 del Regolamento (UE) 2024/1689 (AI Act). Impone a fornitori e deployer di sistemi di AI di adottare misure per garantire, nella misura del possibile, un livello sufficiente di competenza al proprio personale e alle altre persone che operano per loro conto con questi sistemi. Si applica dal 02/02/2025.

Questo articolo è informativo e non sostituisce un parere legale.

Cosa prevede l'art. 4 dell'AI Act sull'alfabetizzazione

La norma è breve e formulata per principi. Chiede alle organizzazioni di adottare misure per assicurare un livello sufficiente di alfabetizzazione in materia di AI, tenendo conto di:

• le conoscenze tecniche, l'esperienza, l'istruzione e la formazione del personale;
• il contesto in cui i sistemi di AI sono utilizzati;
• le persone o i gruppi di persone sui quali i sistemi di AI sono utilizzati.

Il regolamento definisce l'alfabetizzazione in materia di AI come l'insieme di competenze, conoscenze e comprensione che permettono di usare i sistemi di AI in modo informato, essendo consapevoli di opportunità, rischi e possibili danni.

Due elementi meritano attenzione. Primo, l'obbligo è di mezzi, non di un risultato certificato: si chiede di adottare misure adeguate, non un diploma uniforme. Secondo, il testo non indica ore minime, contenuti standard o attestati obbligatori. Chi presenta requisiti di questo tipo come prescritti dall'art. 4 aggiunge qualcosa che la norma non dice.

A chi si applica l'obbligo di AI literacy

L'art. 4 si rivolge ai fornitori e ai deployer di sistemi di AI. Il perimetro è più ampio di quanto spesso si pensi:

• vale anche per le aziende che si limitano a usare strumenti di terzi, come assistenti generativi e funzioni AI integrate nei software;
• non dipende dal livello di rischio del sistema: riguarda anche usi a rischio minimo;
• copre il personale dipendente e anche altre persone che operano per conto dell'organizzazione, ad esempio collaboratori e consulenti che usano questi strumenti.

Per i ruoli di fornitore e deployer e per il quadro generale del regolamento, vedi AI Act, obblighi per le aziende.

Cosa significa in pratica: un livello sufficiente, non uguale per tutti

"Sufficiente" è un concetto relativo. Una persona che usa un assistente per riassumere documenti ha bisogno di competenze diverse da chi configura un agente collegato a dati aziendali o da chi decide quali casi d'uso approvare. Il testo stesso chiede di considerare contesto e destinatari degli effetti.

Quindi la domanda utile non è "abbiamo fatto un corso?", ma "il livello di competenza di ciascun ruolo è adeguato agli strumenti e ai casi d'uso che gestisce, e possiamo mostrare cosa abbiamo fatto per ottenerlo?".

Come impostare la formazione per ruolo

Un'impostazione ragionevole parte da tre livelli, da adattare all'organizzazione.

• Base, per tutti gli utilizzatori. Cosa fa e non fa un modello generativo, limiti e possibili errori, uso corretto dei dati, regole della policy interna, divieti, come segnalare problemi. Il riferimento operativo è la policy AI aziendale.
• Intermedio, per chi usa l'AI in processi con effetti su persone o clienti. Verifica critica degli output, sorveglianza umana, tracciabilità delle decisioni, rapporto con la protezione dei dati.
• Avanzato, per chi governa e decide. Responsabili di funzione, referenti di compliance e IT: classificazione dei casi d'uso per rischio, ruoli di fornitore e deployer, gestione dei fornitori.

Il passaggio decisivo è collegare i percorsi ai casi d'uso reali. Un registro aggiornato, come quello descritto in registro dei casi d'uso e AI governance, permette di sapere chi usa cosa e quindi quale formazione serve a chi.

Come tracciare la formazione e quali evidenze conservare

Il regolamento non prescrive un formato di documentazione. Per poter dimostrare le misure adottate, è sensato conservare:

1. Piano formativo per ruolo, con obiettivi, destinatari e criterio con cui è stato definito il livello adeguato.
2. Contenuti erogati, con versione e data, per poter ricostruire cosa è stato insegnato e quando.
3. Partecipazione, cioè completamenti o presenze, per ruolo e reparto.
4. Verifiche di apprendimento, se previste, come quiz o esercitazioni su casi reali.
5. Aggiornamenti: quando cambiano strumenti, usi o normativa, traccia della revisione dei contenuti e dei nuovi cicli formativi.
6. Mappatura tra ruoli, strumenti e formazione, per mostrare che chi usa uno strumento ha ricevuto formazione pertinente.

Una regola di metodo: i dati sulla formazione vanno letti in forma aggregata per ruolo o reparto. Per dimostrare l'adozione di misure adeguate serve la copertura dei percorsi, non una graduatoria delle persone. Mantenere il livello aggregato tutela anche il rapporto di fiducia con i dipendenti. Per le questioni sul controllo dell'attività lavorativa, vedi monitorare l'uso dell'AI e Statuto dei Lavoratori.

Un esempio di matrice ruoli e percorsi

Per rendere concreto il principio, ecco un esempio ipotetico di matrice per un'azienda con 1.000 utilizzatori di assistenti generativi. Il percorso base copre tutti gli utilizzatori. Un sottoinsieme che lavora con dati di clienti o dipendenti segue anche il percorso intermedio, con attenzione a verifica degli output e protezione dei dati. Un gruppo ristretto di responsabili di funzione, compliance e IT segue il percorso avanzato. I numeri sono solo illustrativi: la ripartizione reale dipende dai casi d'uso censiti.

Per ciascun gruppo conviene definire in anticipo tre elementi: gli strumenti e i casi d'uso a cui si riferisce, il contenuto minimo del percorso e la cadenza di aggiornamento. Questo rende dimostrabile il criterio con cui è stato fissato il livello sufficiente, che è la parte che la norma lascia all'organizzazione.

Come coordinare l'AI literacy con le altre misure

La formazione da sola non governa l'uso dell'AI. Funziona quando è collegata a una policy chiara, a un registro dei casi d'uso e a un canale per segnalare dubbi. In assenza di questi elementi, il personale riceve nozioni ma non sa come applicarle nel lavoro quotidiano.

Va anche ricordato che l'art. 4 non esaurisce gli obblighi: la formazione sul trattamento dei dati personali, ad esempio, risponde a principi del GDPR, approfonditi in GDPR e AI generativa in azienda. Meglio un percorso unico e coerente che più corsi sovrapposti.

Errori frequenti

• Un unico corso generico per tutti. Soddisfa la forma, ma non tiene conto di ruolo e contesto d'uso richiesti dal testo.
• Formazione una tantum. Strumenti e usi cambiano rapidamente: senza aggiornamenti il livello "sufficiente" si deteriora.
• Nessun legame con gli strumenti realmente usati. Se l'uso non autorizzato è diffuso, la formazione non raggiunge chi ne ha più bisogno. Il tema è affrontato in shadow AI, rischi e gestione.
• Requisiti inventati. Ore minime, attestati o certificazioni non sono previsti dal testo dell'art. 4.

Dove si colloca Delphis

Delphis è una piattaforma indipendente dai fornitori di AI che collega spesa, adozione, impatto e obblighi normativi. Sul fronte dell'AI literacy aiuta a tracciare i percorsi formativi per ruolo, a collegarli agli strumenti e ai casi d'uso effettivamente in uso e a leggere la copertura in forma aggregata per reparto. È un supporto per documentare le misure adottate e non sostituisce un parere legale. Per il quadro completo: compliance AI con Delphis.

Fonti

• Regolamento (UE) 2024/1689 (AI Act)